TP-Link Kasa 摄像头通过未认证 UDP 协议泄露家庭 GPS 位置长达 6 年

🔑 核心要点

• 未认证 UDP 9999 — 向端口 9999 发送单条 get_sysinfo 请求即可返回精确 GPS 坐标、MAC、设备 ID、硬件 ID 与用户自定义设备名，无需任何认证或会话凭证，仅通过简单 XOR 加密即可解码。
• 长达 6 年的已知风险 — 该未认证 Smart Home 协议自 2016 年已被公开研究；2020 年 8 月已有研究在 KC100 摄像头中发现相同 GPS 泄露，但 TP-Link 仅在 2020 年 11 月修复了智能插座产品线，未将修复扩展到摄像头。
• GPS 数据永久存储 — GPS 坐标来自账户创建时移动设备的定位信息，并永久写入固件 config/location，无论用户是否启用地理围栏功能都会通过本地网络明文广播。
• 二手设备连锁风险 — 恢复出厂设置不会清除 jffs2 分区中的用户数据；攻击者可通过软 AP 模式获取前任机主家庭 GPS，再通过 SPI 闪存提取提取明文邮箱与 unsalted MD5 密码哈希，进而接管整个 TP-Link 生态账户。
• 2.4.1 修复 — 固件 2.4.1 移除了 get_sysinfo 响应中的 GPS 坐标，改用基于 RSA 的认证发现机制；同时使用设备专属 EC 证书替代全局 RSA 证书，并对凭据存储启用静态加密。

💡 金句

← 返回 HN 首页